Протягом багатьох років типовим образом програм-вимагачів були зашифровані файли та записка про викуп на екрані. Нова тактика, описана PortalGeek, змінює цей сценарій: шифрувальний вірус без шифрування living off the land блокує корпоративні мережі, не шифруючи жодного файлу, спираючись на власні інструменти організації. Результат залишається тим самим — компанія зупинена, але шлях до цього важче виявити.

Ця стаття пояснює, як це працює, чому це настільки слизьке та що слід перевірити як компаніям, так і людям, які працюють з дому.

Як працює шифрувальний вірус без шифрування

Згідно з опублікованою інформацією, ця тактика паралізує роботу корпоративної мережі без використання шифрування файлів, яке зазвичай відстежують багато засобів захисту. Замість розгортання дуже помітної шкідливої програми, атакувальник використовує утиліти, які вже існують у середовищі: інструменти адміністрування, такі як PowerShell, та програмне забезпечення віддаленого доступу.

Цей підхід відомий як "living off the land" (жити з землі): зловмисник використовує те, що вже встановлено. Без шифрування даних він може переривати сервіси, блокувати доступ або виводити з ладу системи, і вплив на безперервність бізнесу є однаково серйозним. Для компанії неможливість працювати є центральною проблемою, незалежно від того, чи зашифровані її файли.

Чому використання легітимних інструментів ускладнює їх виявлення

Ключове полягає в тому, що ніщо з того, що виконує атакувальник, на перший погляд не здається дивним. PowerShell щодня використовують системні адміністратори, а програмне забезпечення віддаленого доступу є звичайною складовою технічної підтримки. Якщо атакувальник із дійсними обліковими даними запускає ті самі інструменти, його активність можна сплутати з рутинною роботою.

Це має кілька практичних наслідків:

  • Менше класичних сигналів. Антивірусу, який шукає відомі шкідливі файли, мало що блокувати, коли використовуються легітимні програми.
  • Фокус зміщується на облікові дані. Якщо доступ є дійсним, питання вже не "що це за програмне забезпечення?", а "хто його використовує і звідки?".
  • Більше значення поведінки. Виявлення незвичайного використання інструменту (у дивний час, з неочікуваного пристрою) стає кориснішим, ніж виявлення конкретного файлу.

Це не загроза, яку можна вирішити одним продуктом. Вона потребує шарів: контроль доступу, видимість і здатність до відновлення.

Що це означає для віддаленої роботи та домашніх мереж

Корпоративна мережа не закінчується в офісі. Кожен ноутбук, що підключається з дому, кожен інструмент віддаленого доступу та кожен повторно використаний пароль розширюють поверхню, через яку може увійти атакувальник. Якщо метод залежить від використання легітимних доступів, облікові дані тих, хто працює віддалено, стають особливо цінними дверима.

На практиці безпека домашньої мережі впливає на безпеку компанії:

  • Маршрутизатор із заводським паролем або із застарілою прошивкою є слабким місцем.
  • Пароль, повторений між особистими та корпоративними сервісами, полегшує те, що сторонній витік зрештою вплине на роботу.
  • Програма віддаленого доступу, встановлена й забута, або без посиленої автентифікації, пропонує прямий шлях до пристрою.

Загальний контекст також важливий. Як ми зазначали в нашому аналізі про зростання кількості жертв програм-вимагачів в Іспанії та крадіжку даних за допомогою ШІ, загроза продовжує зростати й торкається як організацій, так і людей, які до них підключені.

Практичні заходи: MFA, мінімальні привілеї, моніторинг і резервні копії

Жоден із цих заходів не є новим, але разом вони значно зменшують простір для маневру того, хто намагається зловживати легітимними інструментами.

  1. Багатофакторна автентифікація (MFA). Увімкніть її в електронній пошті, корпоративних VPN, на віддаленому робочому столі та в будь-якій панелі адміністрування. Якщо пароль витече, MFA додає важливу перешкоду.
  2. Мінімальні привілеї. Кожен обліковий запис повинен мати лише ті дозволи, які йому потрібні. Якщо звичайному користувачеві не потрібно запускати PowerShell із підвищеними правами, краще це обмежити.
  3. Контроль програмного забезпечення віддаленого доступу. Ведіть інвентаризацію того, які інструменти авторизовані, і видаляйте ті, що не використовуються.
  4. Моніторинг поведінки. Реєструйте та переглядайте активність адміністративних інструментів і визначайте сповіщення про нетипове використання.
  5. Ізольовані та перевірені резервні копії. Зберігайте копії окремо від основної мережі та перевіряйте, що їх можна відновити. Якщо блокуються системи, а не лише файли, також варто мати задокументований план відновлення.
  6. Домашня гігієна. Змініть облікові дані маршрутизатора, оновіть його прошивку, використовуйте унікальні паролі з менеджером і тримайте операційну систему в актуальному стані.

Висновок: перевірте свою конфігурацію, перш ніж це зробить атакувальник

Шифрувальний вірус без шифрування living off the land нагадує, що небезпека не завжди приходить у вигляді підозрілого файлу. Іноді вона приходить із дійсним обліковим записом і інструментами, які вже є на вашому пристрої. Тому захист полягає в захисті облікових даних, обмеженні дозволів, спостереженні за поведінкою та забезпеченні можливості відновлення.

Приділіть кілька хвилин цього тижня, щоб переглянути свою конфігурацію віддаленої роботи: чи ввімкнено MFA на ваших ключових облікових записах? Чи змінили ви пароль адміністратора свого маршрутизатора? Чи ваші резервні копії ізольовані й чи перевіряли ви їх? Щоб краще зрозуміти масштаб проблеми, можете ознайомитися з нашою статтею про тенденції програм-вимагачів в Іспанії.